diff --git a/docs/ja/annexes/spdx-lite.md b/docs/ja/annexes/spdx-lite.md new file mode 100644 index 0000000000..da9b2710e1 --- /dev/null +++ b/docs/ja/annexes/spdx-lite.md @@ -0,0 +1,131 @@ +# SPDX Lite (標準) + +## Liteプロファイルについて + +Liteプロファイルは、プロセスに新しい項目を取り入れるのに人員やリソースを割けないような企業でも、ソフトウェア部品表をスムーズに取り入れられるように設計されています。Liteプロファイルは、ソフトウェアサプライチェーンにおけるライセンスコンプライアンスに必要な最小限の情報をまとめたものです。これには、SBOMの作成に関する情報、ライセンス情報やその他の関連情報を含むパッケージリスト、およびそれらの依存関係が含まれています。 + +Liteプロファイルのすべての要素は、ライセンスの遵守に必要不可欠です。ライセンス情報に関する十分な知識がない人でも、Liteプロファイルを使用してSPDXドキュメントを簡単に活用することができ、以前のバージョンのSPDX Lite形式のファイルからライセンス情報をインポートすることも簡単にできます。Liteプロファイルは、ソフトウェアサプライチェーンにおけるSPDXドキュメントとして単独で使用することも、他のSPDXプロファイルと組み合わせても使用することもできる柔軟性を備えています。 + +## 必須および推奨プロパティ + +Liteプロファイルでは、いくつかのプロパティは**必須**であり、他のいくつかのプロパティは**可能な限り必須**であると規定しています。 + +以下のリストは、SPDXデータに存在するすべてのクラスについて、簡潔でわかりやすい形式でこの情報をまとめて表示します。プロパティのリストは、参照しやすいようにアルファベット順になっています。 + +### /Core/SpdxDocument + +- 必須 + 1. creationInfo + 1. element （複数可）、/Core/Sbom オブジェクトを少なくとも1つ持たなければ**ならない** + 1. rootElement （複数可）、/Core/Sbom 型のオブジェクトであることが**望ましい** + 1. spdxId +- 推奨 + 1. comment + 1. dataLicense + 1. name + 1. namespaceMap （複数可） + 1. verifiedUsing （複数可）、/Core/Hash 型のオブジェクトであることが**望ましい** + +### /Software/Sbom + +- 必須 + 1. creationInfo + 1. element （複数可）、/Software/Package オブジェクトを少なくとも1つ持たなければ**ならない** + 1. rootElement （複数可）、/Software/Package 型のオブジェクトであることが**望ましい** + 1. spdxId +- 推奨 + 1. sbomType （複数可） + +### /Software/Package + +- 必須 + 1. copyrightText + 1. creationInfo + 1. name + 1. packageVersion + 1. spdxId + 1. suppliedBy、/Core/Agent 型のオブジェクトであることが**望ましい** +- 推奨 + 1. attributionText （複数可） + 1. builtTime + 1. comment + 1. downloadLocation + 1. homepage + 1. originatedBy （複数可）、/Core/Agent 型のオブジェクトであることが**望ましい** + 1. packageUrl + 1. releaseTime + 1. supportLevel （複数可） + 1. validUntilTime + 1. verifiedUsing （複数可）、/Core/Hash 型のオブジェクトであることが**望ましい** + +ただし、少なくとも "downloadLocation" または "packageUrl" プロパティがなければ**なりません**。 + +さらに + +1. すべての /Software/Package オブジェクトごとに、その要素を `from` プロパティとして、/SimpleLicensing/AnyLicenseInfo を `to` プロパティとする `hasConcludedLicense` 型の /Core/Relationship オブジェクトが1つだけ存在しなければ**なりません**。 +1. すべての /Software/Package オブジェクトごとに、その要素を `from` プロパティとして、 /SimpleLicensing/AnyLicenseInfo オブジェクトを `to` プロパティとする `hasDeclaredLicense` 型の /Core/Relationship オブジェクトが1つだけ存在しなければ**なりません**。 + +### /Core/Hash + +- 必須 + 1. algorithm + 1. hashValue +- 推奨 + 1. comment + +### /SimpleLicensing/LicenseExpression + +- 必須 + 1. creationInfo + 1. licenseExpression + 1. spdxId +- 推奨 + 1. licenseListVersion + +### /SimpleLicensing/SimpleLicensingText + +- 必須 + 1. creationInfo + 1. licenseText + 1. spdxId +- 推奨 + 1. comment + +### /Core/Agent (createdBy, suppliedBy, originatedBy) + +- 必須 + 1. creationInfo、“BlankNode”であることが望ましい(SHOULD) + 1. name + 1. spdxId +- 推奨 + 1. externalIdentifier（複数可） + +### /Core/CreationInfo + +- 必須 + 1. created + 1. createdBy （複数可）、/Core/Agent型のオブジェクトであることが**望ましい** + 1. specVersion、“3.0.1”の固定文字列でなければ**ならない** +- 推奨 + 1. comment + +### /Core/ExternalIdentifier + +- 必須 + 1. externalIdentifierType + 1. identifier + +### /Core/NameSpaceMap + +- 必須 + 1. namespace + 1. prefix + +### /Core/Relationship + +- 必須 + 1. creationInfo + 1. from + 1. relationshipType + 1. spdxId + 1. to （複数可） diff --git a/docs/ja/front/copyright.md b/docs/ja/front/copyright.md new file mode 100644 index 0000000000..967215ec82 --- /dev/null +++ b/docs/ja/front/copyright.md @@ -0,0 +1,21 @@ +# 仕様書の使用 - 利用規約、条件、および通知 + +Copyright © 2010-2024, The Linux Foundation and its Contributors, including SPDX Model contributions from OMG and its Contributors. + +本文書は、 +[Community Specification License 1.0](../licenses/Community-Spec-1.0.md) +(Community-Spec-1.0)の下でライセンスされています。 +Community-Spec-1.0 に準拠していない著作権者によるこの文書の既存の部分は +[Creative Commons Attribution License 3.0 Unported](../licenses/CC-BY-3.0.md) +(CC-BY-3.0)の下で提供されます。 +これらのライセンスのコピーは、ここにその全文が複製されています。 + +## 商標 + +SPDX® は The Linux Foundation の登録商標です。 + +## 準拠 + +SPDX商標の使用は、[SPDX法的通知のページ](https://spdx.dev/about/legal-notices/)から入手可能なSPDX商標ライセンスに従うものとします。 + +本仕様書が発行されたライセンスの条件下で開発されたソフトウェアは、ソフトウェア提供者が上記のSPDX商標ライセンスに準拠する場合に限り、本仕様書への準拠または適合性を主張することができます。 diff --git a/docs/ja/front/introduction.md b/docs/ja/front/introduction.md new file mode 100644 index 0000000000..f015d33036 --- /dev/null +++ b/docs/ja/front/introduction.md @@ -0,0 +1,11 @@ +# はじめに + +企業や組織（総称して「組織」）は、オープンソースやその他のソフトウェアパッケージを広く使用し、再利用しています。ソフトウェアを正確に識別することは、多くのサプライチェーンプロセスにとって重要です。脆弱性の修復は、システムで使用されているソフトウェアのバージョンの詳細を知ることから始まります。関連するライセンスのコンプライアンスには、各組織が独自に行う一連の分析活動とデューデリジェンスが必要であり、これには、ソフトウェアの手動スキャンや自動スキャン、関連するライセンスの識別、その後の手動検証などが含まれます。 + +世界中のソフトウェア開発チームが同じオープンソースパッケージを使用していますが、分析に関する共同作業を促進したり、分析結果を共有したりするためのインフラはほとんど存在しません。その結果、多くのグループが同じ作業を行っており、重複した作業や冗長な情報が発生しています。このドキュメントは、Linux Foundation SPDX グループと OMG/CISQ Tool-to-Tool ワークグループの統合的な活動である SPDX ワークグループが作成した、ソフトウェアパッケージと関連コンテンツに関する情報を収集し、共通のフォーマットで共有することで、時間の節約とデータの正確性の向上を目的としたデータ交換フォーマットについて説明しています。 + +この2つのグループの統合的な活動は、2021年の最初の数週間、概ね前進しましたが、どちらか一方が議論していなかったり、異なる意見を持っていたりする問題を、より大きなグループが解決する間、時折停滞しました。最終的に、SPDX 3.0での方向転換に備え、SPDX 3.0のコンセプトや機能の一部をコミュニティに提供するアップデートを加えたSPDX 2.3を2022年8月にリリースした後、SPDX 3.0の最初のリリース候補版が2023年5月に公開されました。標準化団体であると同時にオープンソース開発者のコミュニティでもあるSPDXコミュニティにおいて、RC版(リリース候補版)は、新旧を問わずSPDXの実装者が成果物をレビューし、不明確な部分や実装に大きな負担となる部分がないかを判断する機会を提供しました。 + +最初のRC版に対するコメントや変更要求に基づいて、モデルのいくつかの領域が修正され、再検討された結果、2024年2月にSPDX 3.0のRC2版が公開されました。このRC2版は、ツール作成者やSPDXで作業するためのサポートライブラリをメンテナンスする人たちに、SPDX 3.0仕様の最終バージョンに先立ち、プロジェクトの改訂を開始する時間を与えるものでした。コミュニティ内部の活動や議論、SPDXグループとOMG/CISQ Tool-to-Tool (3T-SBOM)ワークグループとの統合の議論に関与していない人たちにとっては、この3年間でのSPDX 2.3からSPDX 3.0へのSPDXモデルの移行は、Software Package Data ExchangeからSystem Package Data ExchangeへのSPDXの名称変更、部品表で伝達できる項目の拡大(ソフトウェア、セキュリティ、ライセンスから、データセット、AIモデル、ビルド情報などの多くの要素が追加された)など、劇的な変化となりました。 + +3.0.0のリリース以来、ドキュメンテーションのレベルやモデルの小さなエラーに関するフィードバックを集め、3.0.1のリリースで対処しました。 diff --git a/docs/ja/index.md b/docs/ja/index.md new file mode 100644 index 0000000000..c11c297eac --- /dev/null +++ b/docs/ja/index.md @@ -0,0 +1,116 @@ +# The System Package Data Exchange® (SPDX®) 仕様 バージョン 3.0.1 + +Copyright © 2010-2024, The Linux Foundation and its Contributors, including SPDX Model contributions from OMG and its Contributors. + +次の方々の貢献と援助に感謝します。 + +Adam Cohn, +Adolfo García Veytia, +Alan Tse, +Alexios Zavras, +Andrew Back, +Ann Thornton, +Armin Tänzer, +Arthit Suriyawongkul, +Ayumi Watanabe, +Basil Peace, +Bill Schineller, +Bradlee Edmondson, +Brandon Lum, +Bruno Cornec, +Ciaran Farrell, +Daniel German, +David Edelsohn, +David Kemp, +David A. Wheeler, +Debra McGlade, +Dennis Clark, +Dick Brooks, +Ed Warnicke, +Eran Strod, +Eric Thomas, +Esteban Rockett, +Gary O'Neall, +Gopi Krishnan Rajbahadur, +Guillaume Rousseau, +Hassib Khanafer, +Henk Birkholz, +Hiroyuki Fukuchi, +Itaru Hosomi, +Jack Manbeck, +Jaime Garcia, +Jeff Licquia, +Jeff Luszcz, +Jeff Schutt, +Jilayne Lovejoy, +John Ellis, +Jonas Oberg, +Joshua Watt, +Kamsang Salima, +Karen Bennet, +Karen Copenhaver, +Kate Stewart, +Kevin Mitchell, +Kim Weins, +Kirsten Newcomer, +Kouki Hama, +Kris Reeves, +Liang Cao, +Lon Hohberger, +Marc-Etienne Vargenau, +Mark Gisi, +Marshall Clow, +Martin Michlmayr, +Martin von Willebrand, +Mark Atwood, +Matija Šuklje, +Matt Germonprez, +Maximilian Huber, +Meret Behrens, +Michael J. Herzog, +Michel Ruffin, +Nicole Pappler, +Nisha Kumar, +Nobuyuki Tanaka, +Norio Kobota, +Nuno Brito, +Oliver Fendt, +Paul Madick, +Peter Williams, +Phil Robb, +Philip Koltun, +Philip Odence, +Philippe Ombredanne, +Pierre Lapointe, +Rana Rahal, +Robert Martin, +Robin Gandhi, +Rose Judge, +Sam Ellis, +Sameer Ahmed, +Satoru Koizumi, +Scott K Peterson, +Scott Lamons, +Scott Sterling, +Sean Barnum, +Sebastian Crane, +Shane Coughlan, +Steve Cropper, +Steve Winslow, +Stuart Hughes, +Takashi Ninjouji, +Thomas F. Incorvia, +Thomas Steenbergen, +Tom Callaway, +Tom Vidal, +Toru Taima, +Venkata Krishna, +W. Trevor King, +William Bartholomew, +Yev Bronshteyn, +Yoshiko Ouchi, +Yoshiyuki Ito, +Yuji Nomura, +Yumi Tomita, +Zachary McFarland + diff --git a/docs/ja/scope.md b/docs/ja/scope.md new file mode 100644 index 0000000000..4c85f1dcf9 --- /dev/null +++ b/docs/ja/scope.md @@ -0,0 +1,19 @@ +# 範囲 + +System Package Data Exchange(SPDX®)仕様は、様々な分野の部品表(BOM)情報を伝達するためのオープンスタンダードを定義しています。 + +SPDXは、基礎となるデータモデルと、そのデータモデルをエンコードするための複数のシリアライズフォーマットを定義しています。 + +SPDXメタデータには、以下のような作成と配布に関する詳細が含まれます： + +- ソフトウェアの集合体(パッケージ)、個々のファイル、およびファイルの一部分(スニペット)などのソフトウェアの構成 +- ソフトウェアのビルド情報 +- 人工知能（AI）モデル +- データセット +- 作成者、サプライヤー、およびディストリビューターの素性に関する情報 +- 出所と完全性 +- ライセンスと著作権（ライセンスと例外の厳選されたリストを含む） +- セキュリティの脆弱性、欠陥、およびその他の品質データ +- システム要素間の関係 +- ソフトウェアの使用法とライフサイクル +- SPDX要素の注釈付けと複数のSPDXドキュメント間のリンクを可能にするメカニズム